Wat is het PFX-bestandsformaat?
.pfx-bestanden zijn gekoppeld aan de PKCS #12 cryptografiestandaard, oorspronkelijk ontwikkeld door RSA Laboratories en nu beheerd door RFC 7292.
Bestanden met de extensie .pfx slaan versleutelde en digitaal ondertekende cryptografische objecten op in een binaire DER-gecodeerde container. Elk .pfx-bestand is onderverdeeld in zogenaamde SafeBags, die ook onafhankelijk kunnen worden versleuteld en ondertekend. De PKCS #12-standaard verdeelt SafeBags verder in typen die geschikt zijn voor het opslaan van privésleutels, X.509-certificaten, certificaatketens en andere beveiligingsgegevens.
.pfx wordt het meest gebruikt om een privésleutel samen met de bijbehorende certificaatketen te bundelen in één met een wachtwoord beveiligd bestand. Typische toepassingen zijn het exporteren van TLS/SSL-certificaten tussen servers, het distribueren van identiteiten voor code-ondertekening en het overdragen van S/MIME-gegevens tussen apparaten.
.pfx en .p12 zijn functioneel identiek - Windows-tools gebruiken .pfx terwijl macOS en Linux de voorkeur geven aan .p12. Beide kunnen worden geconverteerd naar het .pem-tekstformaat met het commando openssl pkcs12. In tegenstelling tot zelfstandige .cer-certificaten bevat een .pfx-bestand de privésleutel naast het certificaat, waardoor het het voorkeursformaat is wanneer de sleutel met het certificaat moet meereizen.
Beveiliging & veiligheid
RISICO: HIGHEen PFX bevat een PRIVÉSLEUTEL, dus het is een van de meest gevoelige bestandstypen die een gebruiker hanteert: iedereen met het bestand en het bijbehorende wachtwoord kan zich voordoen als de eigenaar van het certificaat - code of documenten ondertekenen in hun naam, of een server opzetten met hun TLS-identiteit. Verzend een PFX nooit onbeveiligd per e-mail, plaats hem nooit in bronbeheer, gebruik een sterk exportwachtwoord en bewaar hem veilig (verwijder het bestand bij voorkeur na het importeren). Behandel een onverwachte .pfx-bijlage als verdacht. Genereer/behandel PFX-bestanden alleen met vertrouwde tools (OS-wizards, OpenSSL) - niet met willekeurige „certificaatviewer”-websites, die uw sleutel en wachtwoord kunnen stelen.
Formaatdetails
in een notendopVOLLEDIGE NAAMPKCS #12 Personal Information Exchange File
ONTWIKKELAARRSA Laboratories (PKCS #12 standard); now IETF RFC 7292sinds PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
CATEGORIESysteembestanden
MIME-TYPEapplication/x-pkcs12
TYPEVersleutelde, met wachtwoord beveiligde sleutel+certificaatbundel (binair, DER/PKCS#12)
STANDAARDOpen · royaltyvrij
MAGIC BYTES · BESTANDSSIGNATUUR
OFFSET
0001
HEX
3082
ASCII
0·
Begint met de DER-tag 30 82 xx xx (een ASN.1 SEQUENCE met een lengte van 2 bytes) - hetzelfde generieke voorvoegsel als veel DER-gecodeerde crypto-objecten, dus het is niet uniek voor PFX. De inhoud is een PKCS#12-structuur; identificeer op basis van extensie/context, niet alleen op basis van de eerste bytes.
Programma's die PFX-bestanden openen
Windows4 apps
OpenSSL
Open-source Extraheren of converteren: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (vraagt om het wachtwoord).
Windows Certificate Import Wizard (built-in)
Ingebouwd Dubbelklik op de .pfx → de „Wizard Certificaat importeren” wordt geopend; voer het wachtwoord in en kies het archief (Persoonlijk/Huidige gebruiker of Lokale computer).
certutil / PowerShell (built-in)
Ingebouwd Inspecteren/importeren vanuit een shell: „certutil -dump file.pfx” of PowerShell „Get-PfxData -FilePath file.pfx” / „Import-PfxCertificate”.
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Bewerken/Voorkeuren → Handtekeningen → Identiteiten en vertrouwde certificaten → voeg de .pfx toe als een digitale ID voor het ondertekenen van PDF's. Het geeft het bestand niet weer als een document. 
macOS2 apps
OpenSSL
Open-source Extraheren of converteren: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (vraagt om het wachtwoord).
Keychain Access (built-in)
Ingebouwd Dubbelklik op de .pfx → deze wordt geïmporteerd in Sleutelhangertoegang (voer het bestandswachtwoord in); de identiteit is daarna beschikbaar voor apps. 
Linux2 apps
OpenSSL
Open-source Extraheren of converteren: „openssl pkcs12 -in file.pfx -out out.pem -nodes” (vraagt om het wachtwoord).
GNOME Keyring / Seahorse
Open-source Importeer de .pfx/.p12 in de app „Wachtwoorden en sleutels” (Seahorse) om het certificaat en de sleutel op te slaan. Technische details
diepe specificaties| Containercodering | Binaire DER (Distinguished Encoding Rules) over ASN.1; het bestand is niet leesbaar voor mensen zonder een speciale parser |
| MIME-type | application/x-pkcs12 |
| Magic bytes | 30 82 op offset 0 (ASN.1 DER SEQUENCE met een lengte van 2 bytes); gedeeld met andere DER-gecodeerde formaten - identificeer op basis van extensie of MIME-type, niet op basis van bytes alleen |
| Interne structuur | Geneste lagen: PFX → AuthenticatedSafe → SafeContents → SafeBags; elke SafeBag bevat één getypeerd cryptografisch object |
| SafeBag-typen | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - de zes officiële SafeBag-typen gedefinieerd in RFC 7292 |
| Wachtwoordbeveiliging | Het totale archief en de individuele SafeBags kunnen elk onafhankelijk worden versleuteld met een door de gebruiker gekozen wachtwoordzin via wachtwoordgebaseerde versleuteling |
| Versleutelingsalgoritmen | AES-256-CBC en 3DES-CBC voor moderne stacks; RC2 en RC4 komen voor in verouderde bestanden (afgeraden - vermijd deze bij het genereren van nieuwe archieven) |
| MAC-integriteit | Een HMAC (SHA-1 in verouderde; SHA-256 of SHA-384 in moderne implementaties) beslaat de AuthenticatedSafe-structuur om knoeien te detecteren |
| Sleutelafleiding | PBKDF1 (RFC 7292 Appendix B) of PBKDF2 met een configureerbaar aantal iteraties verhardt wachtwoordgebaseerde versleuteling tegen brute-force aanvallen |
| Windows vs. IETF-naam | .pfx is het oorspronkelijke door Microsoft bedachte achtervoegsel; .p12 is de IETF-standaardnaam; de twee zijn byte-voor-byte identiek en volledig uitwisselbaar |
| Opslag van meerdere objecten | Een enkele .pfx kan meerdere certificaten en sleutels bevatten - bijvoorbeeld een volledige keten van leaf-, intermediate- en root CA-certificaten plus de privésleutel |
| Veelvoorkomende CLI-conversie | openssl pkcs12 -in file.pfx -out file.pem -nodes extraheert naar PEM-tekst; openssl pkcs12 -export -out file.pfx bundelt PEM-inputs in een nieuw archief |
| Platformondersteuning | Systeemeigen op Windows (Wizard Certificaat importeren, certutil, PowerShell), macOS (Sleutelhangertoegang), iOS, Android, Java (keytool) en de meeste TLS-bibliotheken |
| Typische gebruiksscenario's | Implementeren van TLS/SSL-servercertificaten, identiteiten voor code-ondertekening, S/MIME-e-mailsleutels, VPN-clientgegevens en smartcard-provisioning |
| Uitgebracht | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Open standaard | Ja · royaltyvrij |
| Specificatie | www.rfc-editor.org |
PFX conversies
Mogelijk
.PFX .CRTGIDS
Ja - extraheer het openbare certificaat uit een PFX-bestand met één OpenSSL-opdracht of de Windows…
Hoe te converteren
.PFX .P12GIDS
Ja - in de meeste gevallen hernoemt u het bestand van .pfx naar .p12; beide zijn hetzelfde binaire…
Hoe te converteren
.PFX .CERGIDS
Ja - extraheer het openbare certificaat uit uw PFX-bestand met één OpenSSL-opdracht of via de Windows…
Hoe te converteren
.PFX .PEMGIDS
Ja - OpenSSL converteert een PFX naar PEM in één opdracht op Windows, macOS en Linux.
Hoe te converteren
.PFX .KEYGIDS
Ja - extraheer de privésleutel uit een PFX-bestand met OpenSSL: openssl pkcs12 -in file.pfx -nocerts -nodes…
Hoe te converteren
.PFX .JKSGIDS
Ja - de standaardmanier is de ingebouwde keytool-utility van Java: één opdracht op Windows, macOS of Linux.
Hoe te converteren
Niet mogelijk
Community V&A
gevraagd door gebruikers
M
Veelgestelde vragen
Wat is een PFX-bestand?
Een versleuteld, met een wachtwoord beveiligd pakket (het PKCS #12 / .p12-formaat) dat een digitaal certificaat plus de privésleutel bevat, gebruikt voor TLS-certificaten, code-ondertekening, client-authenticatie en het ondertekenen van documenten.
Hoe open ik een PFX-bestand in Windows?
Dubbelklik erop om de „Wizard Certificaat importeren” te starten, voer het wachtwoord in waarmee het is gemaakt en kies een certificaatarchief. Om het in plaats daarvan te inspecteren, gebruikt u „certutil -dump file.pfx” of OpenSSL - u „leest” een PFX niet, u importeert deze.
Wat is het verschil tussen .pfx en .p12?
In de praktijk is er geen verschil - beide zijn het PKCS #12-formaat. .pfx is de naam van Microsoft, .p12 de meer algemene naam. U kunt de ene meestal gewoon hernoemen naar de andere.
Hoe verschilt een PFX van een CER/CRT-certificaat?
Een .cer/.crt bevat alleen het openbare certificaat en kan veilig worden gedeeld. Een .pfx bevat ook de privésleutel, die geheim is - deze kan de volledige identiteit herstellen en moet daarom worden beschermd.
Hoe extraheer ik het certificaat en de sleutel uit een PFX voor Apache/Nginx?
Gebruik OpenSSL: „openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem” voor het certificaat en „... -nocerts -nodes -out key.pem” voor de privésleutel.
Ik ben het PFX-wachtwoord kwijt - kan ik het nog openen?
Nee. De privésleutel is versleuteld met dat wachtwoord en er is geen legitieme herstelmogelijkheid. U moet het certificaat opnieuw exporteren vanaf de plek waar het is gemaakt, of een nieuw certificaat laten uitgeven.
Kan Adobe Acrobat een PFX-bestand openen?
Acrobat kan een PFX importeren als een „digitale ID” om PDF's te ondertekenen, maar het opent het niet als een toonbaar document. Om het certificaat zelf te installeren, gebruikt u het Windows-certificaatarchief of de macOS-sleutelhanger.
Referenties
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
